Arrêt Schrems II : ce qu'il change encore en 2026

Le 16 juillet 2020, la Cour de justice de l’Union européenne a rayé d’un trait de plume le mécanisme qui autorisait des milliers d’entreprises européennes à transférer des données vers les États-Unis. C’est l’arrêt Schrems II. Six ans plus tard, beaucoup pensent que le Data Privacy Framework a clos le dossier. C’est faux : la logique posée par cet arrêt structure encore chacune de vos décisions de transfert en 2026.

Ce que dit exactement l’arrêt Schrems II

L’arrêt (CJUE, grande chambre, 16 juillet 2020, Data Protection Commissioner c/ Facebook Ireland et Maximillian Schrems, C-311/18) tranche deux questions distinctes, et c’est cette distinction qu’il faut retenir.

Premièrement, la Cour invalide la décision d’adéquation « Privacy Shield » (décision d’exécution 2016/1250). Motif : le droit américain, en particulier la section 702 du FISA et l’Executive Order 12333, autorise des programmes de surveillance qui ne sont pas limités au strict nécessaire au sens de l’article 52 de la Charte des droits fondamentaux, et ne garantit pas aux personnes concernées un recours effectif devant un organe indépendant. Le niveau de protection n’était donc pas « essentiellement équivalent » à celui garanti dans l’UE.

Deuxièmement, la Cour maintient la validité des clauses contractuelles types (décision 2010/87, aujourd’hui remplacée par les CCT de 2021). Mais avec une réserve lourde de conséquences : les CCT ne suffisent pas à elles seules. L’exportateur et l’importateur doivent vérifier, au cas par cas, si le droit et les pratiques du pays de destination permettent effectivement de respecter les garanties prévues par les clauses. Si ce n’est pas le cas, ils doivent adopter des mesures supplémentaires ou suspendre le transfert.

C’est le cœur de Schrems II : un outil de transfert (article 46 RGPD) n’a plus de valeur en soi. Il ne vaut que par l’analyse concrète qui l’accompagne.

Schrems I, Schrems II, et la mécanique de fond

Rappelons le contexte, parce qu’il éclaire la suite. En 2015 déjà, l’arrêt Schrems I (C-362/14) avait invalidé le « Safe Harbor », prédécesseur du Privacy Shield, pour des raisons identiques. En 2020, Schrems II invalide son successeur. Chaque cadre négocié entre Bruxelles et Washington s’est effondré sur le même récif : la surveillance de masse américaine et l’absence de voie de recours pour un Européen.

Ce n’est donc pas un accident de procédure. C’est un désaccord structurel entre deux systèmes juridiques, qui explique pourquoi la question ressurgit régulièrement.

Le Data Privacy Framework a-t-il tourné la page ?

Depuis le 10 juillet 2023, une nouvelle décision d’adéquation, le Data Privacy Framework, autorise à nouveau les transferts vers les entreprises américaines certifiées. Il a été conçu pour répondre point par point aux critiques de Schrems II : l’Executive Order 14086 encadre davantage la surveillance et crée une Data Protection Review Court censée offrir un recours aux Européens.

Faut-il en conclure que Schrems II appartient au passé ? Non, pour trois raisons concrètes.

D’abord, le DPF ne couvre que les importateurs certifiés. Si votre sous-traitant américain n’est pas inscrit sur la liste du Département du commerce, ou si la certification ne couvre pas la catégorie de données transférée, vous n’êtes pas sous le parapluie de l’adéquation. Vous revenez aux CCT — et donc à l’obligation d’analyse posée par Schrems II.

Ensuite, la validité du DPF est contestée en justice. Le député européen Philippe Latombe a attaqué le cadre devant le Tribunal de l’Union. Son recours a été rejeté le 3 septembre 2025, mais il a formé un pourvoi devant la Cour de justice le 31 octobre 2025 (affaire C-703/25 P), toujours pendant en 2026. Une invalidation par la CJUE reproduirait exactement le scénario de 2020 : retour brutal aux CCT et à l’analyse au cas par cas.

Enfin, le socle américain reste fragile. Le 29 juin 2026, la Cour suprême des États-Unis a jugé, par six voix contre trois, que les restrictions encadrant la révocation des commissaires de la Federal Trade Commission étaient inconstitutionnelles. Or l’indépendance des autorités de contrôle était précisément l’un des piliers sur lesquels reposait la promesse de recours effectif du DPF. Cette décision a ravivé la crainte d’un « Schrems III ».

Dans mon expérience de conseil auprès de PME et d’ETI, l’erreur la plus fréquente consiste à traiter le DPF comme un blanc-seing. Ce n’est pas le cas : c’est un mécanisme utile mais réversible, et Schrems II reste la grille de lecture de tout ce qui n’entre pas dans son champ.

Que sont les « mesures supplémentaires » exigées par Schrems II ?

La Cour n’a pas dressé de liste : c’est le Comité européen de la protection des données (CEPD) qui l’a fait, dans ses recommandations 01/2020 sur les mesures complétant les instruments de transfert. Trois familles se dégagent.

Les mesures techniques sont les plus solides parce qu’elles neutralisent l’accès des autorités du pays tiers : chiffrement de bout en bout avec conservation des clés dans l’UE, pseudonymisation forte empêchant la ré-identification par l’importateur, ou traitement fractionné entre plusieurs prestataires. Le CEPD considère qu’un simple chiffrement au repos, dont l’importateur détient la clé, ne suffit pas face à une réquisition.

Les mesures contractuelles renforcent les CCT : engagement de l’importateur à contester toute demande d’accès disproportionnée, obligation de transparence sur les réquisitions reçues, clause de notification à l’exportateur. Utiles, mais insuffisantes seules : un contrat ne lie pas une agence de renseignement.

Les mesures organisationnelles encadrent la gouvernance interne : politique stricte de gestion des demandes d’accès, journalisation, formation des équipes, audit régulier. Elles complètent les deux précédentes sans jamais s’y substituer.

La règle pratique à retenir : sans mesure technique efficace, un transfert vers un pays à surveillance intrusive se justifie difficilement sur le seul fondement des CCT.

Vos obligations concrètes en 2026

Voici, en pratique, ce que la jurisprudence Schrems II impose encore aujourd’hui à tout responsable de traitement qui exporte des données hors UE.

Cartographier vos transferts. Vous ne pouvez pas sécuriser ce que vous ne connaissez pas. Reprenez votre registre des activités de traitement et identifiez chaque flux sortant : hébergeur, CRM, outil d’e-mailing, analytics, support client. Un transfert existe dès qu’une donnée est accessible depuis un pays tiers, même sans copie — un accès à distance depuis les États-Unis suffit.

Qualifier le mécanisme de transfert. Pour chaque flux, déterminez sur quel fondement de l’article 46 RGPD ou de la décision d’adéquation vous vous appuyez : DPF si l’importateur est certifié, CCT sinon, éventuellement BCR pour les groupes, ou une dérogation de l’article 49 pour les cas résiduels.

Réaliser une analyse d’impact du transfert (TIA). C’est l’héritage direct de Schrems II. Dès que vous utilisez des CCT, vous devez documenter l’évaluation du droit du pays destinataire et, le cas échéant, les mesures supplémentaires retenues (chiffrement avec conservation des clés dans l’UE, pseudonymisation, clauses contractuelles renforcées). Un modèle de TIA structuré vous fait gagner un temps considérable et constitue votre preuve d’accountability au sens de l’article 5(2).

Documenter et réévaluer. Le contexte juridique bouge — le pourvoi Latombe et la décision de la Cour suprême de juin 2026 le montrent. Une TIA n’est pas un document figé : datez-la, planifiez sa révision et gardez la trace de vos décisions.

Cartographier des dizaines de flux, qualifier chaque mécanisme et maintenir les TIA à jour est précisément le type de travail répétitif que Legiscope automatise, en reliant le registre aux analyses de transfert.

Ce qu’il faut retenir

• Schrems II (C-311/18, 16 juillet 2020) a invalidé le Privacy Shield mais confirmé les clauses contractuelles types, en y ajoutant une obligation d’analyse au cas par cas.
• Le principe central reste valable en 2026 : un outil de transfert ne vaut que par l’analyse concrète (TIA) qui l’accompagne.
• Le Data Privacy Framework ne couvre que les importateurs certifiés ; hors de ce champ, vous restez soumis à la logique Schrems II.
• La validité du DPF est fragilisée : pourvoi Latombe pendant devant la CJUE (C-703/25 P) et décision de la Cour suprême américaine du 29 juin 2026 sur la FTC.
• En pratique : cartographier les flux, qualifier le mécanisme, réaliser une TIA pour les CCT, documenter et réévaluer régulièrement.

FAQ

L’arrêt Schrems II est-il toujours en vigueur en 2026 ?

Oui. Un arrêt de la CJUE ne « périme » pas. Le Data Privacy Framework a rétabli une décision d’adéquation pour les entreprises américaines certifiées, mais il ne remet pas en cause les principes posés par Schrems II. Pour tout transfert hors du champ du DPF, notamment via clauses contractuelles types, l’obligation d’analyse au cas par cas demeure pleinement applicable.

Dois-je encore réaliser une analyse d’impact du transfert si mon prestataire est certifié DPF ?

Non, tant que le transfert entre effectivement dans le périmètre de la certification DPF de votre prestataire et que celui-ci figure sur la liste officielle. En revanche, une TIA reste nécessaire dès que vous vous appuyez sur les CCT, ou si la certification ne couvre pas la catégorie de données concernée. Il est recommandé de vérifier périodiquement le statut de certification, qui peut être retiré.

Quelle différence entre Schrems I et Schrems II ?

Schrems I (2015) a invalidé le « Safe Harbor », premier accord de transfert UE-États-Unis. Schrems II (2020) a invalidé son successeur, le « Privacy Shield », et précisé les conditions d’usage des clauses contractuelles types. Les deux arrêts reposent sur le même constat : le droit américain de la surveillance ne garantit pas une protection essentiellement équivalente à celle de l’UE.

Qu’est-ce qu’un « Schrems III » ?

C’est le nom donné par les praticiens à une éventuelle nouvelle invalidation, cette fois du Data Privacy Framework. Le pourvoi formé par Philippe Latombe devant la CJUE et les évolutions du droit américain en 2026 entretiennent ce risque. Anticiper « Schrems III » consiste à conserver des clauses contractuelles types et des TIA prêtes à réactiver en cas d’invalidation.